IcedID — новый представитель семейства банковских троянов. Он имеет модульную архитектуру и способен красть банковские учётные данные пользователя, выполняя атаку «человек посередине» (MITM). IcedID устанавливает локальный прокси-сервер и перенаправляет весь интернет-трафик через него. Кроме того, он может загружать и выполнять компоненты, необходимые для скрытности.
Переносчик инфекции
Обычно IcedID распространяется через спам-рассылку или через другие семейства вредоносных программ. В ходе нашего анализа мы обнаружили, что это семейство — Emotet. В начале 2017 года Emotet широко использовался для распространения других банковских троянов, таких как Qkabot и Dridex.
IcedID содержит модуль сетевого распространения, редко встречающийся в других банковских троянах. Анализ последовательности API в IcedID позволяет предположить, что он использует схожие техники, успешно применявшиеся такими вредоносными программами, как BadRabit и Petya/Not-Petya.
Анализ образца
При выполнении пример создает свою копию в папке %LOCAL_APPDATA% со случайным именем внутри папки со случайным именем. Имя создаваемого файла и папки совпадает и содержит 9 символов. Имя создаваемого файла генерируется с использованием идентификатора безопасности (SID) текущего пользователя. Ниже приведен код, который генерирует SID для текущего вошедшего в систему пользователя.
Имя перетащенного файла со случайным именем в случайно названной папке.
«%LOCALAPPDATA%\[az]{9}\[az]{9}.exe»
Пример: -
“C:\Документы и настройки\Администратор\Локальные настройки\Данные приложения\ homatluna \ homatluna.exe ”
Он поддерживает свою активность, создавая запись в реестре в разделе «Выполнить».
“HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ homatluna ”
Затем IcedID записывает криптоключ RSA в систему в папку AppData. Затем он записывает файл сертификата в папку %TEMP%.
Пример: “C:\Documents and Settings\Administrator\Local Settings\Temp\ 0137194B.tmp ”
Сетевая активность
Это создает два сокетных соединения. Одно для локального прокси, а другое служит в качестве бэкдора для связи с CnC. В нашем анализе порт с привязкой к локальному прокси — 49158 , а бэкдор создается на порту номер 49161.
Он создаёт локальный прокси-сервер. Используя сертификаты разных банков и собственный модуль, он реализует собственный SSL-уровень. С его помощью он реализует атаку MITM. IcedID может перехватывать весь трафик и извлекать из него учётные данные пользователей.
После проникновения в систему вредоносная программа отправляет идентификатор бота и основную информацию о системе на сервер CnC с помощью запроса POST, как показано на рис. 1 и рис. 2.
Ниже приведены расшифрованные данные почтового запроса, которые необходимо отправить:
K – Имя системы
B – ID бота
L – Рабочая группа
M – Версия ОС
Взаимодействие IcedID с CnC осуществляется по зашифрованному SSL-соединению, сертификат которого определяется самой вредоносной программой из хранилища сертификатов. Временный файл, создаваемый вредоносной программой, используется для хранения сертификата. Приведённый ниже код используется для перечисления сертификатов.
Распространение в сети
IcedID отличается от других банковских троянов тем, что может распространяться внутри сети. Сначала он находит работающую систему в локальной сети и копирует себя на новую систему.
Индикатор компромиссов
csuwbru[.]net
comeontrk[.]com
medicalciferol[.]com
38921f28bb74fea2cab6e70039ee65f3
d982c6de627441765c89da5cfeb04d6f
82d6e69df2277073d4aaacd6994ee033
Quick Heal успешно обнаруживает IcedID как Trojan.IcedID.
Способ распространения вредоносного ПО делает его более агрессивным, чем ранее замеченные банковские трояны.
Советы по профилактике
- Установите антивирус и регулярно его обновляйте.
- Регулярно обновляйте операционную систему и программное обеспечение.
- Не нажимайте на ссылки и не загружайте вложения из неизвестных, неожиданных или нежелательных источников.
Эксперт предметной области
Пиюш Бансал | Ганшьям Мор, Quick Heal Security Labs
